Cadrul meu de lucru se încadrează în NIS2?
Două lucruri determină acest lucru: sectorul și dimensiunea dumneavoastră. Dar există o a treia grupă care cade în afara perimetrului și totuși primește cerințele.
Sector și dimensiune, în această ordine
NIS2 este o directivă europeană privind securitatea rețelelor și a sistemelor de informații. Ea desemnează optsprezece sectoare, împărțite în două anexe. Anexa I cuprinde sectoarele cu criticitate ridicată: energie, transport, sănătate, apă potabilă, infrastructură digitală, administrație. Anexa II cuprinde celelalte sectoare critice, cum ar fi poștă, deșeuri, chimie, alimente, industrie și furnizori de servicii digitale.
Dacă sectorul dumneavoastră nu se află pe listă, nu cadeți sub incidență. Dacă se află, atunci dimensiunea contează. De la aproximativ cincizeci de angajați sau zece milioane euro cifră de afaceri sunteți dimensiune medie și se aplică obligațiile. Dacă sunteți mai mare de două sute cincizeci de angajați sau cincizeci de milioane euro cifră de afaceri și vă aflați în anexa I, atunci sunteți o entitate esențială și vă aflați sub supraveghere anterioară. Restul sunt entități importante: aceeași obligație de diligență, dar supraveghere doar dacă apare motivul.
A treia grupă, și aceasta este cea mai mare
Foarte multe dintre organizațiile care se confruntă cu această situație nu cad sub incidență. Acestea furnizează unei persoane care se află sub incidență. Directiva obliga organizațiile supuse obligațiilor să evalueze securitatea furnizorilor lor, iar acestea o fac prin chestionare și cerințe contractuale.
Pentru dumneavoastră, aceasta înseamnă nicio obligație de înregistrare, nicio obligație de raportare și nicio amendă. Dar în schimb o cliente care dorește răspuns, și care va încheiat contractul în altă parte dacă nu puteți furniza acel răspuns. În practică, aceasta afectează mai multe companii și mai rapid decât legea în sine.
Excepții pe care nu trebuie să le pierdeți din vedere
Chiar și sub prag puteți fi obligat. Dacă sunteți singurul furnizor al unui serviciu într-un stat membru, sau dacă defecțiunea serviciului dumneavoastră ar avea consecințe majore pentru societate, autoritatea de supraveghere vă poate desemna totuși. Furnizorii de comunicații electronice publice și ai serviciilor de încredere cad sub incidență indiferent de dimensiunea lor.
În sens invers, se aplică și ceva. Băncile și piețele financiare cad în practică sub DORA, regulamentul privind reziliența digitală pentru sectorul financiar. Aceasta se aplică ca regulă specială. Dacă vă identificați în această descriere, cereți consiliere pe această temă.
Întrebări frecvente
Primesc notificare dacă cad sub incidență?
Nu, și aceasta este capcana. Nu va veni nicio scrisoare. Trebuie să stabilești tu însuți și să vă înregistrezi la autoritatea de supraveghere.
Ce se întâmplă dacă fac o evaluare greșită?
A crede în mod eronat că nu cadeți sub incidență este cel mai costisitor scenariu: amenzile se ridică la zece milioane euro sau doi la sută din cifra de afaceri mondială, iar conducerea este personal răspunzătoare. Dacă aveți îndoieli, presupuneți că sunteți obligat și cereți o verificare.
Se aplică și pentru sediul meu din străinătate?
Directiva se aplică în întreaga UE, dar obligațiile apar prin legea națională a fiecărui stat, și aceasta nu este la fel de avansată peste tot. Vă înregistrați în țara în care sunteți stabilit; în caz de mai multe sedii, aceasta poate fi în mai multe locuri.
Aceasta este explicație, nu consiliere privind situația dumneavoastră. secria.eu nu evaluează organizația dumneavoastră și nu oferă asigurări.